Установка сервисов KUMA внутри кластера Kubernetes

Службы – это основные компоненты SIEM-системы KUMA, которые помогают системе управлять событиями. Сервисы позволяют получать события из источников событий и в дальнейшем приводить их к общему виду, удобному для поиска корреляций, а также для хранения и ручного анализа.

Типы сервисов:

• Хранилища используются для хранения событий.
• Коллекторы используются для получения событий и преобразования их в формат KUMA.

  Если вы планируете использовать несколько тенантов в своей инфраструктуре, создайте отдельный коллектор для каждого тенанта.

• Корреляторы используются для анализа событий и поиска закономерностей.
• Агенты используются для получения событий на удаленных устройствах и пересылки их коллекторам KUMA.

Устанавливать сервисы KUMA можно только после развертывания Kaspersky EDR Expert. При развертывании Kaspersky EDR Expert подготавливается необходимая инфраструктура: на подготовленных устройствах создаются служебные директории, в которые добавляются файлы, необходимые для установки сервиса. Рекомендуется устанавливать сервисы в следующем порядке: хранилище, коллекторы, корреляторы и агенты.

Ограничения

При установке сервисов KUMA внутри кластера Kubernetes, учитывайте следующие ограничения:

• При установке можно развернуть только один экземпляр Ядра KUMA.
• Пассивные коллекторы могут быть развернуты, только если используются коннекторы HTTP или TCP с включенным TLS.
• Для пассивных коннекторов HTTP и TCP настроенные адрес сервера и порт автоматически заменяются на 0.0.0.0:7310.
• Кластер хранилища должен быть развернут либо полностью внутри Kubernetes либо полностью вне кластера. Смешанные развертывания не поддерживаются.
• Если коллекторы или корреляторы, развернутые вне Kubernetes, отправляют события службам хранилища, развернутым внутри Kubernetes, доставка событий выполняется через один входящий URL. Балансировка нагрузки между узлами хранилища выполняется Kubernetes на уровне TCP.
• Если трафик должен быть направлен в разные группы узлов хранилища, вам нужно развернуть отдельные сервисы eventRouter и направить трафик через них.
• При изменении параметров коллектора, развернутого внутри кластера Kubernetes, KUMA не проверяет измененные параметры. Из-за неправильной настройки коллектор может не получать события.
• В одном кластере Kubernetes невозможно развернуть несколько сервисов хранения, созданных на основе одного и того же ресурса хранения, используя одно и то же значение FQDN узла хранилища.

Чтобы установить и настроить сервисы KUMA внутри кластера Kubernetes:

1. Убедитесь, что устройство администратора и целевые устройства для Kaspersky EDR Expert подготовлены в соответствии с выбранной схемой развертывания, выполнив одну из следующих инструкций:
   • Развертывание на нескольких узлах: подготовка устройства администратора и целевых устройств
   • Развертывание на одном узле: подготовка устройства администратора и целевых устройств
2. В Консоли OSMP создайте набор ресурсов для каждого сервиса KUMA (хранилища, коллекторы и корреляторы).
3. Создайте сервисы для хранилищ, коллекторов и корреляторов.
4. Разверните каждую службу в кластере Kubernetes.
   1. В главном окне приложения перейдите в раздел Мониторинг → Ресурсы и службы → Активные службы.
   2. Выберите службы, которую вы хотите развернуть, и нажмите на кнопку Развернуть.
   3. В окне Добавить службу в Kubernetes заполните следующие поля:
      • FQDN узла хранилища: укажите имя узла кластера хранилища, определенного в ресурсе хранилища. Этот параметр доступен только для службы хранилища и не может быть изменен после развертывания службы.
      • Класс хранения: выберите подсистему хранения, используемую для хранения статуса службы. Значение этого параметра невозможно изменить после развертывания. Доступные значения:
        • longhorn – этот класс хранилищ обеспечивает сетевое хранилище с поддержкой репликации. По умолчанию статус службы реплицируется на трех сетевых дисках. Этот класс хранилища рекомендуется для коллекторов, коррелятора, метрик и служб Ядра, поскольку он позволяет Kubernetes перенести под службы на другой рабочий узел в случае сбоя текущего узла. Его также можно использовать для обеспечения отказоустойчивости службы хранилища, развернутого как единый экземпляр.
        • local-path – этот класс хранилища использует локальные дисковые массивы рабочих узлов Kubernetes, монтированных в директории /opt/lvp/hot, и обеспечивает максимальную производительность. Этот класс хранилища рекомендуется использовать для службы хранилища, поскольку хранилище поддерживает собственную кластеризацию и не использует механизмы Kubernetes для обеспечения отказоустойчивости. Его также можно использовать для служб коллектора, использующих коннекторы HTTP или TCP, и для служб eventRouter, развернутых на нескольких экземплярах, созданных из одного ресурса KUMA. При развертывании на одном узле рекомендуется использовать local-path для всех типов служб KUMA.
      • Класс холодного хранения: выберите подсистему хранилища, используемую для длительного хранения данных. Этот параметр доступен только для служб хранилища и не может быть изменен после развертывания. Класс хранилища local-path-cold похож на local-path, но предназначен для длительного хранения на более медленных дисковых массивах, монтированных в директории /opt/lvp/cold.
      • Минимальное количество CPU: укажите количество ядер процессора (потоков), зарезервированных для службы. Допускается указать целое положительное число. По умолчанию указано значение 0.
      • Максимальное количество CPU: укажите максимальное количество ядер процессора (потоков), доступных для службы. Значение должно быть положительным целым числом и не может быть меньше значения в поле Минимальное количество CPU. По умолчанию указано значение 0.
      • Минимальный объем ОЗУ: укажите объем оперативной памяти в ГБ, зарезервированной для службы. Допускается указать целое положительное число. По умолчанию указано значение 0.
      • Максимальный объем ОЗУ: укажите максимальный объем оперативной памяти в ГБ, доступный для службы. Значение должно быть положительным целым числом и не может быть меньше значения в поле Минимальный объем ОЗУ. По умолчанию указано значение 0.
      • Дисковое пространство, ГБ: укажите объем дискового пространства в ГБ, выделенного для службы. Этот параметр доступен только при использовании класса хранилища longhorn.
      • Дисковое пространство холодного хранилища, ГБ: укажите объем дискового пространства в ГБ, выделенного для длительного хранения данных. Этот параметр доступен только для службы хранилища, использующих класс хранилища longhorn.
   4. Нажмите на кнопку Создать службу.
5. При необходимости убедитесь, что коллектор и коррелятор готовы к получению событий.
6. При необходимости установите агенты в сетевую инфраструктуру KUMA.

   Файлы, необходимые для установки агента, находятся в директории /opt/kaspersky/kuma/utils.

Необходимые для работы Kaspersky EDR Expert сервисы KUMA установлены внутри кластера Kubernetes.